创建非公开拨测

Google Cloud 控制台

如需使用 Google Cloud 控制台创建拨测，请执行以下操作：

1. 在 Google Cloud 控制台中，前往  拨测页面：

   前往拨测

   如果您使用搜索栏查找此页面，请选择子标题为监控的结果。

2. 在 Google Cloud 控制台的工具栏中，选择您的 Google Cloud 项目。对于 App Hub 配置，请选择 App Hub 宿主项目或已启用应用的文件夹的管理项目。

3. 点击创建拨测。

   

4. 指定非公开拨测：

   1. 选择协议，可以是 HTTP、HTTPS 或 TCP。

   2. 选择内部 IP 资源类型。

5. 如果您的项目尚未配置 Service Directory 服务，或者您想要创建 Service Directory 服务，请点击查看，然后完成非公开拨测前提条件窗格：

   1. 如果系统提示，请启用 Compute Engine API 或 Service Directory API。 启用 API 可能需要 1 分钟才能完成。

   2. 展开 arrow_drop_down 服务账号（如果显示），然后点击创建服务账号。

      如果 Monitoring 服务账号不存在，系统会创建一个。然后，Monitoring 会向服务账号授予两个 Service Directory 角色。

   3. 展开 arrow_drop_down Service Directory 菜单，然后执行以下操作：

      1. 展开 arrow_drop_down 区域，然后选择处理请求的虚拟机的区域。
      2. 展开 arrow_drop_down 命名空间，然后选择现有的 Service Directory 命名空间，或点击创建命名空间并创建一个命名空间。
      3. 点击服务名称，然后输入服务名称。服务是非公开拨测的目标。
      4. 点击端点名称，然后输入端点名称。 端点是一对 IP 地址和端口值，可供服务用来处理请求。如果您的服务包含多个端点，系统会随机选择一个端点。
      5. 展开 arrow_drop_down 网络，然后选择您的专用网络。
      6. 展开 arrow_drop_down 实例，然后选择专用网络中正在处理请求的虚拟机。选择实例后，系统会显示其内部 IP 地址。
      7. 点击完成。

   4. 展开 arrow_drop_down 防火墙规则：

      1. 展开 arrow_drop_down 网络，然后选择网络规则所附加到的网络。

      2. 点击创建防火墙规则。

         此防火墙规则可实现从 35.199.192.0/19 路由传入的 TCP 流量。 来自 35.199.192.0/19 的路由支持连接到使用专用路由的转发目标。如需了解详情，请参阅 VPC 路由。

6. 在非公开拨测窗格中，如需指定要使用的 Service Directory 服务，请执行以下操作之一：

   • 选择使用完全限定服务名称，然后输入服务的完全限定名称：

     projects/SERVICE_DIRECTORY_PROJECT_ID/locations/REGION/namespaces/PRIVATE_NAMESPACE/services/PRIVATE_SERVICE
     

   • 使用菜单选择区域、命名空间和服务。如果您创建了服务，系统会为您选择这些字段。

7. 在非公开拨测窗格中，完成对拨测目标的说明：

   1. 可选：输入请求的路径组成部分。

      使用 HTTP 或 HTTPS 协议的专用正常运行时间检查会向 http://target/path 发送请求。在此表达式中，target 是在 Service Directory 端点中配置的内部 IP 地址。

      如果您将 路径字段留空或将值设置为 /，则将向 http://target/ 发出请求。

   2. 可选：如需设置拨测的执行频率，请使用检查频率字段。

   3. 可选：要选择检查工具区域，或为 HTTP、HTTPS 检查配置身份验证、标头和其他值，请点击更多目标选项：

      • 区域：选择正常运行时间检查将从中接收请求的区域。拨测必须至少有 3 个检查工具。除美国有 3 个检查工具外，其他所有区域都只有 1 个检查工具。默认设置（全球）包括所有区域。
      • 请求方法：选择 GET 或 POST。
      • 正文：对于 HTTP POST 检查，请输入网址编码的正文：您必须自己进行编码。对于所有其他检查，请将此字段留空。
      • 主机标头：配置专用正常运行时间检查时，请勿设置此字段。
      • 端口：您在此处设置的任何值都会替换 Service Directory 端点配置中的端口。如果您希望使用端点配置，请勿在此处设置值。
      • 自定义标头：提供自定义标头，并可选择对其进行加密。加密后表单中标头的值会被隐藏。 对您不想向他人显示的身份验证相关标头使用加密。
      • Authentication：提供一个用户名和密码。这些值将作为 Authorization 标头发送。如果您在此处设置了值，请不要另外再设置 Authorization 标头；如果您设置了 Authorization 标头，则不要在此处设置值。密码将始终隐藏在表单中。

8. 点击继续，然后配置响应要求。 本部分中的所有设置都有默认值：

   • 如需设置拨测的超时期限，请使用响应超时字段。如果在此期限内未收到多个位置的响应，则拨测会失败。

   • 如需配置拨测以执行内容匹配，请确保切换标签为已启用内容匹配功能：

     • 从选项菜单中选择响应内容匹配类型。此字段用于确定如何将响应内容与返回的数据进行比较。例如，假设响应内容为 abcd，且内容匹配类型为包含。只有在响应数据包含 abcd 时，拨测才会成功。如需了解详情，请参阅验证响应数据。
     • 输入响应内容。响应内容必须是不超过 1024 个字节的字符串。在 API 中，此字段是 ContentMatcher 对象。

   • 为了防止由于拨测而导致系统创建日志条目，请清除日志检查失败。

   • 对于 HTTP 拨测，请配置可接受的响应代码。默认情况下，HTTP 拨测会将任何 2xx 响应标记为成功响应。

9. 点击继续，然后配置提醒政策和通知。

   如需在拨测失败时收到通知，请创建提醒政策并为该政策配置通知渠道：

   1. 可选：更新提醒政策的名称。
   2. 可选：在时长字段中，选择拨测必须失败多长时间才发送通知。默认情况下，当至少两个区域报告拨测失败且拨测失败的时长至少为 1 分钟时，系统会发送通知。

   3. 在标有通知渠道的框中，展开 arrow_drop_down 菜单，选择要添加的渠道，然后点击确定。

      在菜单中，系统会针对每种渠道类型按字母顺序将通知渠道分组。

   如果您不想创建提醒政策，请确保切换按钮对应的文本为不创建提醒。

10. 点击继续并完成拨测：

    1. 为拨测输入一个描述性标题。

    2. 可选：如需为拨测添加用户定义的标签，请执行以下操作：

       1. 点击 expand_more 显示用户标签。
       2. 在键字段中，输入标签的名称。 标签名称必须以小写字母开头，可以包含小写字母、数字、下划线和短划线。例如，输入 severity。
       3. 在值字段中，为标签输入一个值。标签值可以包含小写字母、数字、下划线和短划线。例如，输入 critical。
       4. 如需添加其他标签，请点击添加用户标签，然后输入标签的键和值。

    3. 要验证您的正常运行时间检查配置，请点击测试。 如果结果与您的预期不符，请参阅问题排查，更正您的配置，然后重复验证步骤。

    4. 点击创建。

API：确定项目范围

如需为非公开拨测创建配置，请创建 UptimeCheckConfig 对象并将该对象传递给 Cloud Monitoring API 中的 uptimeCheckConfigs.create 方法。

非公开拨测的 UptimeCheckConfig 对象与公开拨测的该对象在以下方面有所不同：

• 正常运行时间检查配置中指定的受监控资源必须是 servicedirectory_service 类型。此资源类型具有以下标签：

  • project_id：与 Service Directory 服务关联的项目 ID。
  • location：与该服务关联的云区域。
  • namespace_name：Service Directory 命名空间。
  • service_name：Service Directory 服务的名称。

• 您无需在拨测配置中指定 port 值。来自 Service Directory 端点的端口值会替换拨测配置中设置的任何值；如果 Service Directory 配置中未指定端口，则拨测会失败。

• 拨测配置必须指定值为 VPC_CHECKERS 的 checker_type 字段。非公开拨测需要使用此值。默认情况下，拨测是公开的，因此公开拨测不需要指定此字段。

以下 JSON 代码使用为专用网络上的虚拟机实例配置的 Service Directory 资源说明了非公开拨测的 UptimeCheckConfig 对象：

{
  "displayName": "private-check-demo",
  "monitoredResource": {
    "type": "servicedirectory_service",
    "labels": {
      "project_id": "SERVICE_DIRECTORY_PROJECT_ID",
      "service_name": "PRIVATE_SERVICE",
      "namespace_name": "PRIVATE_NAMESPACE",
      "location": "REGION"
    }
  },
  "httpCheck": {
    "requestMethod": "GET"
  },
  "period": "60s",
  "timeout": "10s",
  "checker_type": "VPC_CHECKERS"
}'

如需在 Service Directory 服务与拨测位于同一 Google Cloud 项目中的情况下创建非公开拨测，请执行以下操作：

1. 为 gcloud CLI 设置默认 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建一个环境变量来存储您的项目 ID：

   export PROJECT_ID=$(gcloud config get-value core/project)
   

3. 创建环境变量来保存访问令牌：

   export TOKEN=`gcloud auth print-access-token`
   

4. 使用 curl 工具调用 uptimeCheckConfigs.create 方法并向其发布配置对象：

   curl https://monitoring.googleapis.com/v3/projects/${PROJECT_ID}/uptimeCheckConfigs \
   -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
   --request POST --data '{
   "displayName": "private-check-demo",
   "monitoredResource": {
     "type": "servicedirectory_service",
     "labels": {
       "project_id": "'"$PROJECT_ID"'",
       "service_name": "PRIVATE_SERVICE",
       "namespace_name": "PRIVATE_NAMESPACE",
       "location": "REGION"
     }
   },
   "httpCheck": {
     "requestMethod": "GET"
   },
   "period": "60s",
   "timeout": "10s",
   "checker_type": "VPC_CHECKERS"
   }'
   

如果创建拨测失败，请验证服务账号是否具有必要的角色。如需了解详情，请参阅创建拨测失败。

API：受监控的项目

如需为非公开拨测创建配置，请创建 UptimeCheckConfig 对象并将该对象传递给 Cloud Monitoring API 中的 uptimeCheckConfigs.create 方法。

非公开拨测的 UptimeCheckConfig 对象与公开拨测的该对象在以下方面有所不同：

• 正常运行时间检查配置中指定的受监控资源必须是 servicedirectory_service 类型。此资源类型具有以下标签：

  • project_id：与 Service Directory 服务关联的项目 ID。
  • location：与该服务关联的云区域。
  • namespace_name：Service Directory 命名空间。
  • service_name：Service Directory 服务的名称。

• 您无需在拨测配置中指定 port 值。来自 Service Directory 端点的端口值会替换拨测配置中设置的任何值；如果 Service Directory 配置中未指定端口，则拨测会失败。

• 拨测配置必须指定值为 VPC_CHECKERS 的 checker_type 字段。非公开拨测需要使用此值。默认情况下，拨测是公开的，因此公开拨测不需要指定此字段。

以下 JSON 代码使用为专用网络上的虚拟机实例配置的 Service Directory 资源说明了非公开拨测的 UptimeCheckConfig 对象：

{
  "displayName": "private-check-demo",
  "monitoredResource": {
    "type": "servicedirectory_service",
    "labels": {
      "project_id": "SERVICE_DIRECTORY_PROJECT_ID",
      "service_name": "PRIVATE_SERVICE",
      "namespace_name": "PRIVATE_NAMESPACE",
      "location": "REGION"
    }
  },
  "httpCheck": {
    "requestMethod": "GET"
  },
  "period": "60s",
  "timeout": "10s",
  "checker_type": "VPC_CHECKERS"
}'

如果 Service Directory 服务位于受拨测的Google Cloud 项目的指标范围监控的 Google Cloud 项目中，请执行以下操作来创建非公开拨测：

1. 将 gcloud CLI 配置为默认使用要创建拨测的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建一个环境变量来存储您的项目 ID：

   export PROJECT_ID=$(gcloud config get-value core/project)
   

3. 创建一个环境变量来存储在其中定义了 Service Directory 服务的Google Cloud 项目的 ID：

   export MONITORED_PROJECT_ID=MONITORED_PROJECT_ID
   

   此项目必须位于拨测项目的指标范围内。

4. 创建环境变量来保存访问令牌：

   export TOKEN=`gcloud auth print-access-token`
   

5. 使用 curl 工具调用 uptimeCheckConfigs.create 方法并向其发布配置对象：

   curl https://monitoring.googleapis.com/v3/projects/${PROJECT_ID}/uptimeCheckConfigs \
   -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
   --request POST --data '{
   "displayName": "private-check-demo",
   "monitoredResource": {
     "type": "servicedirectory_service",
     "labels": {
       "project_id": "'"$MONITORED_PROJECT_ID"'",
       "service_name": "PRIVATE_SERVICE",
       "namespace_name": "PRIVATE_NAMESPACE",
       "location": "REGION"
     }
   },
   "httpCheck": {
     "requestMethod": "GET"
   },
   "period": "60s",
   "timeout": "10s",
   "checker_type": "VPC_CHECKERS"
   }'
   

如果创建拨测失败，请验证服务账号是否具有必要的角色。如需了解详情，请参阅创建拨测失败。

Google Cloud 控制台

使用 Google Cloud 控制台时，在为拨测选择内部 IP 作为资源类型后，系统会提示您创建 Service Directory 和服务。

gcloud CLI - 虚拟机

如需了解本文档中用于服务、命名空间和端点的命令，请参阅 gcloud service-directory 命令组。

如需为虚拟机创建 Service Directory 资源，请执行以下操作：

1. 将 Google Cloud CLI 配置为默认使用 Google Cloud 项目（要在其中创建 Service Directory 资源）：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储您的项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 创建 Service Directory 命名空间：

   gcloud service-directory namespaces create PRIVATE_NAMESPACE --location=REGION
   

4. 在该命名空间中创建 Service Directory 服务：

   gcloud service-directory services create PRIVATE_SERVICE \
   --namespace PRIVATE_NAMESPACE --location=REGION
   

5. 创建环境变量来保存专用网络上的虚拟机的 IP 地址：

   export INTERNAL_IP=$(gcloud compute instances describe --zone=ZONE \
   PRIVATE_SERVICE_INSTANCE --format='get(networkInterfaces[0].networkIP)')
   

6. 创建一个包含内部 IP 地址和端口的 Service Directory 端点：

   gcloud service-directory endpoints create PRIVATE_ENDPOINT \
   --location=REGION --namespace=PRIVATE_NAMESPACE \
   --service=PRIVATE_SERVICE \
   --network=projects/$PROJECT_NUMBER/locations/global/networks/PRIVATE_CHECK_NETWORK \
   --address=$INTERNAL_IP --port=80
   

gcloud CLI - L4 ILB

如需了解本文档中用于服务、命名空间和端点的命令，请参阅 gcloud service-directory 命令组。

您可以使用非公开拨测，通过为 L4 ILB 创建 Service Directory 资源来监控 L4 内部负载均衡器 (ILB) 的可用性。

创建新的 L4 ILB 时，您可以使用 Service Directory 提供的自动集成；如需了解详情，请参阅在 Service Directory 中配置内部负载均衡器。

如果您未使用 Service Directory 提供的自动集成创建 L4 ILB，则可以通过执行以下操作来手动配置 Service Directory 资源：

1. 将 Google Cloud CLI 配置为默认使用 Google Cloud 项目（要在其中创建 Service Directory 资源）：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储您的项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 如需允许所有拨测工具将数据传输到 L4 ILB，请启用对 ILB 的全球访问权限：

   gcloud compute forwarding-rules update ILB_FORWARDING_RULE_NAME \
   --region=ILB_REGION --allow-global-access
   

   如果 L4 ILB 不允许全球访问权限，则只有当 ILB_REGION 为以下各项之一时，正常运行时间指标才可用：

   • us-east4
   • us-central1
   • us-west1
   • europe-west1
   • southamerica-east1
   • asia-southeast1

4. 创建 Service Directory 命名空间：

   gcloud service-directory namespaces create PRIVATE_NAMESPACE_FOR_ILB\
   --location=REGION
   

5. 在该命名空间中创建 Service Directory 服务：

   gcloud service-directory services create PRIVATE_SERVICE_FOR_ILB \
   --namespace PRIVATE_NAMESPACE_FOR_ILB --location=REGION
   

6. 创建环境变量来保存专用网络上的负载均衡器的 IP 地址：

   export INTERNAL_IP=$( gcloud compute forwarding-rules describe ILB_FORWARDING_RULE_NAME\
   --region=ILB_REGION --format='get(IPAddress)')
   

7. 创建一个包含内部 IP 地址和端口的 Service Directory 端点：

   gcloud service-directory endpoints create PRIVATE_ENDPOINT_FOR_ILB \
   --location=ILB_REGION --namespace=PRIVATE_NAMESPACE_FOR_ILB \
   --service=PRIVATE_SERVICE_FOR_ILB \
   --network=projects/$PROJECT_NUMBER/locations/global/networks/PRIVATE_CHECK_NETWORK \
   --address=$INTERNAL_IP --port=80
   

Google Cloud 控制台

当您使用 Google Cloud 控制台时，在为拨测选择内部 IP 作为资源类型后，系统会提示您授权服务账号。

API：确定项目范围

如需向现有服务账号授予 Service Directory 角色，请执行以下操作：

1. 将 gcloud CLI 配置为默认使用要创建拨测的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 运行以下命令：

   gcloud projects add-iam-policy-binding $PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.viewer'
   

   gcloud projects add-iam-policy-binding $PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.pscAuthorizedService'
   

   上述命令会向服务账号授予以下角色：

   • roles/servicedirectory.viewer
   • roles/servicedirectory.pscAuthorizedService

API：受监控的项目

如需向现有服务账号授予 Service Directory 角色，请执行以下操作：

1. 将 gcloud CLI 配置为默认使用要创建拨测的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   
   export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')
   

3. 创建环境变量来保存在其中定义了 Service Directory 服务的项目的 ID：

   export MONITORED_PROJECT_ID=MONITORED_PROJECT_ID
   

   此项目必须位于拨测项目的指标范围内。

4. 创建环境变量来保存在其中定义了网络的项目的 ID：

   export NETWORK_PROJECT_ID=NETWORK_PROJECT_ID
   

   此项目无需位于拨测项目的指标范围内。

5. 运行以下命令：

   gcloud projects add-iam-policy-binding $MONITORED_PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.viewer'
   

   gcloud projects add-iam-policy-binding $NETWORK_PROJECT_ID \
   --member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
   --role='roles/servicedirectory.pscAuthorizedService'
   

   上述命令会向服务账号授予以下角色：

   • roles/servicedirectory.viewer，表示配置了 Service Directory 服务的受监控项目，$SERVICE_MONITORED_PROJECT_ID。
   • roles/servicedirectory.pscAuthorizedService，用于配置专用网络的项目，即 $NETWORK_PROJECT_ID。

Google Cloud 控制台

使用 Google Cloud 控制台时，在为拨测选择内部 IP 作为资源类型后，系统会提示您配置防火墙规则。

gcloud CLI

如需创建一条允许入站 TCP 流量通过防火墙以实现专用网络访问的防火墙规则，请运行以下命令：

1. 将 gcloud CLI 配置为默认使用要创建拨测的 Google Cloud 项目：

   gcloud config set project PROJECT_ID
   

2. 创建环境变量以存储项目 ID 和项目编号：

   export PROJECT_ID=$(gcloud config get-value core/project)
   

3. 创建网络规则：

   gcloud compute firewall-rules create PRIVATE_CHECK_NETWORK_HOPE_RULE \
   --network="PRIVATE_CHECK_NETWORK"  \
   --action=allow   --direction=ingress   --source-ranges="35.199.192.0/19" \
   --rules=tcp   --project="$PROJECT_ID"
   

   在上述命令中，PRIVATE_CHECK_NETWORK 是此规则所附加到的网络，而 PRIVATE_CHECK_NETWORK_HOPE_RULE 是防火墙规则的名称。

如需详细了解此步骤，请参阅配置网络项目。

Google Cloud 控制台

当您使用 Google Cloud 控制台创建非公开拨测时， Google Cloud 控制台会发出命令，以向服务账号授予 Service Directory 角色。

如需了解如何向服务账号授予角色，请参阅为服务账号授权。

API：确定项目范围

首次在单个 Google Cloud 项目中为 Service Directory 服务和私有资源创建非公开拨测时，请求可能会成功或失败。结果取决于您是否在项目中停用了为服务账号自动授予角色功能：

• 如果您的项目允许为服务账号自动授予角色，则首次创建拨测会成功。系统会为您创建服务账号并授予必要的角色。

• 如果您的项目不允许向服务账号授予自动角色授予，则首次正常运行时间检查创建会失败。系统会创建服务账号，但不会授予任何角色。

如果创建拨测失败，请执行以下操作：

1. 向服务账号授权。
2. 请等待几分钟让系统传播授权。
3. 尝试再次创建非公开拨测。

API：受监控的项目

首次创建以受监控的项目中的 Service Directory 服务或不同 Google Cloud 项目中的私有资源为目标的非公开拨测时，请求会失败并会创建 Monitoring 服务账号。

您授权服务账号的方式取决于您使用的Google Cloud 项目的数量及其关系。您可能最多会涉及四个项目：

• 定义了非公开拨测的项目。
• 您在其中配置了 Service Directory 服务的受监控项目。
• 您在其中配置了 VPC 网络的项目。
• 配置了虚拟机或负载均衡器等网络资源的项目。此项目在本文讨论的服务账号授权中不扮演任何角色。

如果首次创建拨测失败，请执行以下操作：

1. 向服务账号授权。
2. 请等待几分钟让系统传播授权。
3. 尝试再次创建非公开拨测。